ИМЯ

       setfiles - установить SELinux-контексты безопасности файлов.

ОБЗОР

       setfiles  [-c  policy]  [-d]  [-l]  [-m]  [-n]  [-e directory] [-p] [-s] [-v] [-W] [-F] [-I|-D] spec_file
       pathname ...

ОПИСАНИЕ

       На этой странице руководства приводится описание программы setfiles.

       Эта программа используется  в  основном  для  инициализации  полей  контекста  безопасности  (расширенных
       атрибутов)  в  одной или нескольких файловых системах (или их частях). Обычно она впервые запускается как
       часть процесса установки SELinux (этап, который называется проставлением меток).

       Также можно запустить её в любой другой момент, чтобы исправить некорректные  метки,  добавить  поддержку
       для  недавно  установленной  политики  или,  используя параметр -n , пассивно проверить, соответствуют ли
       установленные контексты файлов  тем  контекстам,  которые  указаны  в  активной  политике  (поведение  по
       умолчанию) или в какой-либо другой политике (см. параметр -c ).

       Если  объект  файла  не  имеет  контекста,  setfiles запишет контекст по умолчанию в расширенные атрибуты
       объекта файла. Если объект файла имеет контекст, setfiles изменит только ту часть контекста безопасности,
       которая относится к типу.  Параметр -F позволяет принудительно заменить контекст целиком.

ПАРАМЕТРЫ

       -c     проверить действительность контекстов относительно указанной двоичной политики.

       -d     показать, какая спецификация  соответствует  каждому  из  файлов  (не  прекращать  проверку  после
              получения ошибок ABORT_ON_ERRORS).

       -e directory
              исключить  каталог  (чтобы  исключить более одного каталога, этот параметр необходимо использовать
              соответствующее количество раз).

       -f infilename
              infilename содержит список файлов для обработки. Используйте “-” для stdin.

       -F     принудительно сбросить контекст, чтобы  обеспечить  соответствие  file_context  для  настраиваемых
              файлов  и  соответствие  контексту  файлов  по  умолчанию  для  остальных  файлов  (меняются части
              контекста, связанные с пользователем, ролью, диапазоном, а также тип).

       -h, -? показать сведения об использовании и выйти.

       -i     игнорировать файлы, которые не существуют.

       -I     игнорировать дайджест, чтобы принудительно проверить  метки,  даже  если  хранимый  дайджест  SHA1
              соответствует  дайджесту  SHA1 файлов спецификации. Затем (при условии отсутствия ошибок) дайджест
              будет обновлён. Более подробные сведения доступны в разделе ПРИМЕЧАНИЯ.

       -D     установить или обновить дайджесты SHA1 для  любых  каталогов.  Используйте  этот  параметр,  чтобы
              включить использование расширенного атрибута security.restorecon_last.

       -l     записывать изменения меток файлов в системный журнал.

       -m     не  выполнять  чтение /proc/mounts для получения списка монтирований без seclabel, которые следует
              исключить из проверок с повторным проставлением  меток.  Установка  этого  параметра  полезна  при
              наличии  смонтированной  файловой  системы  без  seclabel, в которой в расположенном ниже каталоге
              смонтирована файловая система с seclabel.

       -n     не изменять метки файлов (пассивная проверка).

       -o outfilename
              этот параметр устарел и больше не поддерживается.

       -p     показывать ход выполнения,  выводя  количество  обработанных  файлов  (единица  измерения  -  блок
              размером  1  КБ  (то есть 1000 файлов)). Если выполняется повторное проставление меток во всей ОС,
              будет показан примерный процент выполнения. Обратите внимание, что  параметры  -p  и  -v  являются
              взаимоисключающими.

       -q     этот  параметр устарел, ранее использовался для прекращения вывода параметров ассоциаций индексных
              дескрипторов (inode).

       -r rootpath
              использовать   альтернативный   корневой   путь.   Используется   в   meta-selinux   для    сборок
              OpenEmbedded/Yocto,  чтобы проставить метки для файлов в каталоге rootpath таким образом, как если
              бы они были в /

       -s     взять  список  файлов  из  стандартного  ввода,  а  не  использовать  путь  из  командной   строки
              (эквивалентно “-f -” ).

       -v     показать изменения меток для файлов и вывести параметры ассоциаций индексных дескрипторов (inode).
              Обратите внимание, что параметры -v и -p являются взаимоисключающими.

       -W     показать  предупреждения  о  записях,  для  которых не обнаружены соответствующие файлы, с помощью
              вывода результатов selabel_stats(3).

       -0     предполагается, что разделителем для  элементов  ввода  является  символ  нуля  (вместо  пробела).
              Символы  кавычек  и  обратной  косой  черты  также  считаются  обычными  символами,  которые могут
              формировать допустимый ввод.  Этот  параметр  также  отключает  строку  конца  файла  (end-of-file
              string),  она обрабатывается, как любой другой аргумент. Это полезно, если элементы ввода содержат
              пробелы, кавычки или обратные косые черты. Параметр -print0 GNU find производит  ввод,  подходящий
              для этого режима.

АРГУМЕНТЫ

       spec_file
              Файл спецификации, содержащий строки следующего вида:

              regexp [type] context | <<none>>
                     Регулярное  выражение  привязывается с обоих концов. Необязательное поле type указывает тип
                     файла (показывается в поле режима по команде ls(1) ), например, -- для соответствия  только
                     обычным  файлам  или  -d  для  соответствия  только  каталогам.  context может быть обычным
                     контекстом безопасности или строкой <<none>> (чтобы указать, что контекст файла не  следует
                     изменять).
                     Используется последняя соответствующая спецификация. Если на файл имеется несколько жёстких
                     ссылок,  которые  соответствуют  разным  спецификациям,  и эти спецификации означают разные
                     контексты безопасности, будет  показано  предупреждение,  но  для  файла  всё  равно  будет
                     проставлена метка на основе последней соответствующей спецификации, отличной от <<none>>.

       pathname ...
              Путь  к  корневому  каталогу каждой файловой системы, в которой следует повторно проставить метки,
              или конкретный каталог в файловой системе, по которому следует рекурсивно  спуститься  и  повторно
              проставить  метки,  или  путь  к  файлу,  для  которого  следует  повторно  проставить  метку.  Не
              используется, если используется параметр -f или -s .

ПРИМЕЧАНИЯ

       1.  setfiles следует по символическим ссылкам и рекурсивно применяется к каталогам.

       2.  Если в pathname указан корневой каталог, установлен параметр -v , а также запущена система аудита,  в
           журнал  с  меткой  сообщения  FS_RELABEL  автоматически записывается событие аудита, которое содержит
           сообщение о том, что произошло "массовое повторное проставление меток".

       3.  Для повышения производительности при рекурсивном повторном проставлении  меток  в  файловых  системах
           используется  параметр  -D  команды  setfiles  .   Он  обеспечивает  сохранение  дайджеста SHA1 файла
           спецификации spec_file  в  расширенном  атрибуте  с  именем  security.restorecon_last  для  каталога,
           указанного  в соответствующем пути pathname ...  , после успешного завершения повторного проставления
           меток. Этот дайджест  будет  проверен,  если  команда  setfiles  -D  будет  перезапущена  с  теми  же
           параметрами spec_file и pathname Подробные сведения доступны в selinux_restorecon(3).

           Параметр -I позволяет игнорировать дайджест SHA1 из каждого каталога, указанного в pathname ...  , и,
           при  условии,  что  НЕ  установлен  параметр  -n  ,  для  файлов  будут  необходимым образом повторно
           проставлены метки, а дайджест затем будет обновлён (если не будет ошибок).

СМОТРИТЕ ТАКЖЕ

       restorecon(8), load_policy(8), checkpolicy(8)

АВТОРЫ

       Эта man-страница была написана Russell Coker <russell@coker.com.au>.   Программа  была  написана  Stephen
       Smalley <sds@tycho.nsa.gov>.  Перевод на русский язык выполнила Герасименко Олеся <gammaray@basealt.ru>

                                                  10 июня 2016                                       setfiles(8)